DDoS Layer 7 là gì? Cách nhận biết và phòng chống hiệu quả

DDoS Layer 7 là traffic tấn công có thể khá giống hoạt động bình thường của người dùng. Vì vậy, phát hiện và ngăn chặn loại DDoS này thường phức tạp hơn so với các cuộc tấn công chỉ tập trung vào băng thông mạng.

DDoS Layer 7 là gì?

DDoS Layer 7 hay Application Layer DDoS là cuộc tấn công nhắm vào Layer 7 – tầng ứng dụng của mô hình OSI.

Đây là nơi các dịch vụ web xử lý những yêu cầu như:

• Truy cập một trang web.
• Tải hình ảnh hoặc tệp.
• Tìm kiếm sản phẩm.
• Đăng nhập tài khoản.
• Gửi biểu mẫu.
• Gọi API.
• Truy vấn dữ liệu từ ứng dụng.

Trong một cuộc DDoS Layer 7, kẻ tấn công thường điều khiển nhiều thiết bị hoặc nguồn traffic khác nhau để liên tục gửi request đến ứng dụng. Khi số lượng hoặc mức độ tiêu tốn tài nguyên của các request vượt quá khả năng xử lý, người dùng thật có thể gặp tình trạng phản hồi chậm, timeout hoặc không truy cập được dịch vụ.

Layer 7 trong mô hình OSI là gì?

Layer 7 là tầng cao nhất trong mô hình OSI, còn được gọi là Application Layer – tầng ứng dụng.

Đây là tầng gần nhất với các ứng dụng mà người dùng tương tác. Với môi trường web, HTTP và HTTPS là những giao thức tiêu biểu hoạt động ở tầng này.

Có thể hiểu đơn giản:

• Layer 3 tập trung vào định tuyến IP.
• Layer 4 tập trung vào quá trình truyền dữ liệu giữa các endpoint, chẳng hạn TCP hoặc UDP.
• Layer 7 tập trung vào nội dung và yêu cầu của ứng dụng.

Ví dụ, khi người dùng mở một trang sản phẩm, trình duyệt gửi HTTP request đến máy chủ. Ở tầng ứng dụng, hệ thống có thể phải xử lý logic, kiểm tra phiên đăng nhập, truy vấn database và tạo nội dung trả về.

Chính quá trình xử lý này trở thành mục tiêu của DDoS Layer 7.

DDoS Layer 7 hoạt động như thế nào?

Thay vì chỉ gửi một lượng dữ liệu khổng lồ nhằm làm đầy đường truyền, DDoS Layer 7 có thể tập trung vào việc khiến ứng dụng phải thực hiện nhiều công việc xử lý.

Ví dụ, một website thương mại điện tử có chức năng tìm kiếm sản phẩm.

Một request tìm kiếm có thể yêu cầu hệ thống:

1. Nhận và phân tích HTTP request.
2. Xác thực thông tin request.
3. Thực thi logic ứng dụng.
4. Truy vấn database.
5. Sắp xếp hoặc lọc dữ liệu.
6. Tạo response.
7. Gửi kết quả trở lại client.

Một request riêng lẻ không phải vấn đề. Nhưng nếu một lượng rất lớn request tương tự được gửi đồng thời, tài nguyên của web server, application server hoặc database có thể nhanh chóng bị tiêu hao.

Vì sao DDoS Layer 7 khó phát hiện?

Một trong những thách thức lớn nhất của DDoS Layer 7 là phân biệt giữa traffic hợp lệ và traffic độc hại.

Request có thể trông giống người dùng thật

Một request:

GET /products

hoặc:

POST /login

về bản chất có thể hoàn toàn hợp lệ.

Vấn đề xuất hiện khi hàng nghìn hoặc hàng triệu request tương tự được gửi với tần suất bất thường hoặc được phân phối từ rất nhiều nguồn khác nhau.

Không nhất thiết cần băng thông cực lớn

Một cuộc tấn công Layer 7 không phải lúc nào cũng phải tạo ra hàng trăm Gbps traffic.

Nếu request nhắm vào chức năng tiêu tốn nhiều tài nguyên, một lượng request nhỏ hơn vẫn có thể gây áp lực đáng kể lên:

• CPU.
• RAM.
• Worker/process.
• Connection pool.
• Database.
• API backend.
• Các dịch vụ phụ thuộc phía sau.

Tấn công có thể tập trung vào một endpoint

Kẻ tấn công không nhất thiết phải request toàn bộ website.

Chúng có thể tập trung traffic vào những endpoint cần nhiều tài nguyên như:

• /login
• /search
• /checkout
• API truy vấn dữ liệu.
• API tạo báo cáo.
• Trang chứa nội dung động.

Vì vậy, tổng traffic toàn website có thể không tăng quá mạnh nhưng một thành phần cụ thể vẫn bị quá tải.

Các hình thức DDoS Layer 7 phổ biến

DDoS Layer 7 có nhiều biến thể. Trong đó, một số hình thức thường được nhắc đến gồm HTTP Flood và các cuộc tấn công dạng “low and slow”.

HTTP Flood

HTTP Flood là một dạng DDoS Layer 7 trong đó máy chủ nhận một lượng lớn HTTP request cho đến khi không còn đủ khả năng xử lý traffic bình thường. HTTP Flood thường được chia thành HTTP GET và HTTP POST flood.

HTTP GET Flood

HTTP GET thường được sử dụng để yêu cầu tài nguyên từ server, chẳng hạn:

• Trang HTML.
• Hình ảnh.
• Tệp.
• Nội dung động.
• Kết quả tìm kiếm.

Nếu số lượng GET request tăng đột biến, máy chủ có thể phải liên tục tìm và trả dữ liệu, từ đó tiêu hao tài nguyên.

HTTP POST Flood

POST thường được dùng khi client gửi dữ liệu lên server, ví dụ:

• Đăng nhập.
• Gửi biểu mẫu.
• Tạo tài khoản.
• Gửi đơn hàng.
• Thực hiện một giao dịch ứng dụng.

Việc xử lý POST request đôi khi yêu cầu nhiều bước phía backend, bao gồm ghi hoặc truy vấn database. Vì vậy, những endpoint này có thể tiêu tốn nhiều tài nguyên hơn một request đơn giản.

Low and Slow Attack

Thay vì tạo ra lượng request cực lớn trong thời gian ngắn, nhóm tấn công “low and slow” cố gắng duy trì kết nối hoặc gửi dữ liệu theo cách làm tiêu tốn tài nguyên của server trong thời gian dài.

Kiểu traffic này có thể khó nhận biết hơn vì tốc độ request không nhất thiết tăng đột biến như HTTP Flood thông thường.

Cache-busting Attack

Một hệ thống sử dụng CDN hoặc cache thường có thể trả nội dung mà không cần truy cập origin server cho mọi request.

Cache-busting attack cố gắng tạo ra các request khác nhau để giảm khả năng cache được sử dụng. Khi đó, nhiều request phải chuyển về origin server, làm tăng tải lên hạ tầng phía sau.

Cloudflare hiện liệt kê cache-busting, HTTP flood, Slowloris và nhiều biến thể HTTP khác trong nhóm các vector tấn công DDoS ở Layer 7.

DDoS Layer 7 khác Layer 3 và Layer 4 như thế nào?

DDoS có thể nhắm vào nhiều tầng khác nhau của hệ thống mạng. Điểm khác biệt quan trọng nằm ở mục tiêu mà cuộc tấn công muốn làm cạn kiệt.

Dấu hiệu website có thể đang bị DDoS Layer 7

Không có một dấu hiệu đơn lẻ nào có thể khẳng định chắc chắn website đang bị Layer 7 DDoS. Tuy nhiên, quản trị viên nên chú ý khi nhiều biểu hiện dưới đây xuất hiện cùng lúc.

Request tăng bất thường

Một URL hoặc API endpoint nhận lượng request cao hơn đáng kể so với thông thường.

Đặc biệt cần chú ý khi traffic tăng nhưng không đi kèm sự gia tăng tương ứng về:

• Đơn hàng.
• Người dùng đăng nhập.
• Conversion.
• Hoạt động kinh doanh thực tế.

CPU và RAM tăng cao

Application server phải xử lý quá nhiều request có thể khiến:

• CPU utilization tăng.
• RAM bị sử dụng nhiều.
• Worker bị chiếm hết.
• Application response chậm dần.

Response time tăng

Website có thể vẫn truy cập được nhưng phản hồi ngày càng chậm.

Ví dụ:

• Trang tải từ 500 ms tăng lên vài giây.
• API thường xuyên timeout.
• Truy vấn mất nhiều thời gian.

Xuất hiện nhiều lỗi 5xx

Khi server không xử lý được lượng request nhận vào, người dùng có thể gặp:

• 500 Internal Server Error.
• 502 Bad Gateway.
• 503 Service Unavailable.
• 504 Gateway Timeout.

Tuy nhiên, các lỗi này cũng có thể xuất phát từ lỗi ứng dụng hoặc hạ tầng, vì vậy cần phân tích thêm log và các chỉ số monitoring.

Database chịu tải bất thường

Nếu request tấn công nhắm đến các endpoint có truy vấn dữ liệu, database có thể xuất hiện:

• Connection tăng nhanh.
• CPU cao.
• Query queue tăng.
• Latency tăng.
• Connection pool cạn kiệt.

Do đó, giám sát Layer 7 DDoS không nên chỉ quan sát lưu lượng mạng.

Cách phòng chống DDoS Layer 7

Không có một biện pháp duy nhất có thể xử lý mọi cuộc tấn công. Bảo vệ hiệu quả thường cần kết hợp nhiều lớp kiểm soát.

1. Sử dụng Web Application Firewall

Web Application Firewall (WAF) nằm giữa client và ứng dụng web, cho phép kiểm tra HTTP/HTTPS request trước khi chúng đến origin server.

WAF có thể áp dụng rule để:

• Chặn request bất thường.
• Lọc traffic độc hại.
• Kiểm soát một số bot.
• Hạn chế truy cập tới endpoint nhạy cảm.

2. Áp dụng Rate Limiting

Rate Limiting giới hạn số lượng request một client có thể gửi trong một khoảng thời gian.

Ví dụ, thay vì cho phép một IP gửi số lượng không giới hạn request đến /login, hệ thống có thể đặt ngưỡng phù hợp.

Rate Limiting đặc biệt hữu ích với:

• Login.
• Search.
• API.
• Form.
• Endpoint có chi phí xử lý cao.

3. Phân tích bot và hành vi traffic

Chỉ chặn IP đôi khi không đủ bởi DDoS thường sử dụng botnet phân tán trên nhiều thiết bị.

Các hệ thống bảo vệ hiện đại có thể kết hợp nhiều tín hiệu như:

• Request rate.
• User-Agent.
• Cookie.
• Session.
• IP reputation.
• Hành vi truy cập.
• Pattern request.
• Đặc điểm client.

Mục tiêu là nhận biết traffic bất thường thay vì chỉ dựa trên một thuộc tính đơn lẻ.

4. Sử dụng CDN và hạ tầng phân tán

CDN giúp phân phối traffic qua nhiều điểm mạng thay vì để mọi request đi trực tiếp vào origin server.

Bên cạnh việc cache nội dung, hạ tầng edge còn có thể trở thành lớp đầu tiên để phát hiện và lọc traffic trước khi request đến hệ thống phía sau.

Tuy nhiên, CDN không đồng nghĩa website tự động miễn nhiễm DDoS. Hệ thống vẫn cần các cơ chế bảo vệ Layer 7 phù hợp.

5. Bảo vệ origin server

Một sai lầm thường gặp là triển khai WAF hoặc CDN ở phía trước nhưng origin server vẫn có thể được truy cập trực tiếp.

Trong trường hợp này, kẻ tấn công có thể cố gắng bỏ qua lớp bảo vệ và gửi traffic trực tiếp tới server.

Doanh nghiệp nên:

• Hạn chế truy cập trực tiếp vào origin.
• Cấu hình firewall phù hợp.
• Tách dịch vụ public và private.
• Kiểm soát các port không cần thiết.
• Theo dõi traffic tới origin.

6. Bảo vệ API

API ngày càng trở thành mục tiêu quan trọng của Layer 7 DDoS vì một API call có thể kích hoạt nhiều tác vụ phía backend.

Nên áp dụng:

• Authentication.
• Authorization.
• Rate Limiting.
• API Gateway.
• Request validation.
• Monitoring.
• Logging.
• Giới hạn kích thước request.
• Giới hạn tài nguyên cho endpoint nhạy cảm.

7. Kết hợp nhiều lớp chống DDoS

DDoS không chỉ xảy ra ở Layer 7.

Một cuộc tấn công thực tế có thể kết hợp:

• Volumetric attack.
• Protocol attack.
• Application Layer attack.

Do đó, mô hình phòng thủ nên kết hợp bảo vệ Layer 3/4 với Layer 7 thay vì dựa hoàn toàn vào WAF hoặc firewall đơn lẻ.

Một số câu hỏi thường gặp về DDoS Layer 7

DDoS Layer 7 có phải HTTP Flood không?

Không hoàn toàn.

HTTP Flood là một trong những hình thức DDoS Layer 7 phổ biến, nhưng Application Layer DDoS còn bao gồm nhiều kỹ thuật khác nhằm làm cạn kiệt tài nguyên ứng dụng.

DDoS Layer 7 có cần lượng băng thông rất lớn không?

Không nhất thiết.

Do Layer 7 nhắm trực tiếp vào hoạt động xử lý của ứng dụng, một request có thể khiến server thực hiện nhiều công việc hơn lượng tài nguyên cần để gửi request đó. Vì vậy, tấn công Layer 7 có thể gây tác động lớn mà không cần lượng bandwidth tương đương các cuộc volumetric DDoS.

WAF có chống được DDoS Layer 7 không?

WAF có thể đóng vai trò quan trọng trong việc lọc request độc hại và giảm lượng traffic đến origin server.

Tuy nhiên, không nên coi WAF là lớp phòng thủ duy nhất. Hệ thống hiệu quả thường kết hợp WAF với Rate Limiting, Bot Management, DDoS Protection, CDN và các cơ chế giám sát traffic.

CDN có chống được DDoS Layer 7 không?

CDN có thể giúp phân tán traffic, cache nội dung và giảm tải origin. Nếu được tích hợp với hệ thống DDoS Protection và các cơ chế bảo mật tại edge, CDN có thể trở thành một phần quan trọng của kiến trúc chống DDoS.

Tuy nhiên, khả năng bảo vệ cụ thể phụ thuộc vào công nghệ và cấu hình của từng hệ thống CDN.

DDoS Layer 7 và Layer 4 khác nhau thế nào?

Layer 4 DDoS tập trung nhiều hơn vào transport protocol và connection, trong khi Layer 7 DDoS tập trung vào cách ứng dụng xử lý request.

Layer 7 vì vậy thường yêu cầu hệ thống phòng thủ hiểu được HTTP request, hành vi người dùng và logic ứng dụng sâu hơn.

Kết luận

DDoS Layer 7 là hình thức DDoS nhắm trực tiếp vào tầng ứng dụng, đặc biệt là website, API và các dịch vụ HTTP/HTTPS. Điểm nguy hiểm nằm ở việc traffic độc hại có thể khá giống request hợp lệ và trực tiếp tiêu tốn tài nguyên xử lý của server, ứng dụng hoặc database.

Để giảm thiểu rủi ro, doanh nghiệp nên áp dụng chiến lược bảo vệ nhiều lớp kết hợp DDoS Protection, WAF, Rate Limiting, CDN, giám sát traffic và bảo vệ origin server thay vì chỉ phụ thuộc vào một công cụ duy nhất.

Với các hệ thống kinh doanh trực tuyến cần duy trì tính sẵn sàng cao, xây dựng hạ tầng cloud có khả năng mở rộng cùng các lớp bảo mật phù hợp sẽ giúp doanh nghiệp chủ động hơn trước các đợt traffic bất thường và những cuộc tấn công DDoS ngày càng phức tạp.